認証とMFAの試験問題への適用
MFAという名前が付いていても、登録・復旧・承認の運用が弱いと入口が残ります。事例のどこで本人を確かめ、どの権限を許しているかを分けて読み、対策の効く範囲を判断します。
この単元で学ぶこと
- 知識・所持・生体の三要素を分類する
- 多段階と多要素の違いを説明する
- 認証と認可を区別する
- MFAの登録・復旧・フィッシングへの注意を判断する
本文解説
入力欄から要素を数えない ID、パスワード、暗証番号の三欄があっても、IDはアカウントを示す識別子、後二つは覚えた情報です。知識要素が二つあっても異なる二要素にはなりません。入力する画面や回数ではなく、検証している証拠の種類を調べます。
漏えいしたパスワードへの備え 登録済みトークンを使う構成なら、パスワードだけを盗んだ相手はトークンの応答も用意する必要があります。ただしトークンの登録を弱い本人確認で変更できると、その入口を使われます。ログインと認証器の登録・変更を一続きの仕組みとして評価します。
OTPを盗む偽サイト 攻撃者は偽サイトへ入力されたパスワードと有効なOTPを正規サイトへ即時中継できます。使い捨てであることは相手先が正しいことを意味しません。正規の入口を使い、方式選定では通信相手への結び付きを含むフィッシング耐性を確認します。
通知による承認の事例 自分が操作していない承認要求は拒否し、不審な要求として連絡します。通知を止めたいからと承認すると、攻撃者のログインが成立する場合があります。利用者教育に加え、承認対象を分かりやすく示す設計や不要な通知の抑制を検討します。
紛失と回復の窓口 端末を失ったという申告だけでMFAを外してはいけません。所定の本人確認、必要な承認、操作記録を残し、旧認証器を失効して新しい認証器を登録します。バックアップの回復手段も他人に使われないよう保管し、本人が使えることも確認します。
退職と権限の事例 強い認証に成功する元社員であっても、退職後に社内情報へアクセスしてよいとは限りません。不要なアカウント・権限・セッションを失効させます。また在籍中でも請求書の参照と削除を分け、必要な操作だけを認可します。
生体照合に失敗したとき 照明やけがなどで本人が認証できない場合もあります。安全な代替手順を用意し、失敗したら誰でも入れる設定にはしません。身体的特徴は交換が難しく、端末に保護された認証器との組合せや生体情報の保護も確認します。
導入率以外に見るもの MFAの設定率だけでなく、除外アカウント、休眠権限、旧認証器、復旧手続き、ログイン通知、既存セッションを点検します。認証の強化は効果のある対策ですが、データの公開設定や端末の保護、操作権限まで自動で正しくするものではありません。
図解
重要ポイント
- 知識・所持・生体を区別する。
- 入力回数だけでは多要素か判断できない。
- 認証成功と操作の許可は別。
- 登録・復旧も認証の保護範囲に含める。
- MFAでも方式ごとにフィッシング耐性が異なる。
間違えやすい点
- IDを独立した秘密の認証要素と数えない。
- 身に覚えのない承認要求に応じない。
- 旧認証器や不要な権限を放置しない。
用語解説
- 認証
- 主張するアカウントの正当な利用者であることを、結び付いた認証情報や認証器で確かめること。
- 認可
- 利用者などに対し、どの資源へのどの操作を許可するかを判断すること。
- 多要素認証
- 知識・所持・生体のうち異なる複数の要素を組み合わせる認証。入力回数だけでは判断できない。
- ワンタイムパスワード
- 限られた時間や利用機会に有効な認証用の値。手入力した値を即時中継される危険は別途考慮する。
- 認証器
- アカウントの正当な利用者であることの検証に使う、本人が制御する機器や秘密など。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。